Le malware Hirudo remplace les vraies apps bancaires Android par des clones espions

L'entreprise de sécurité mobile ThreatFabric a révélé le 14 octobre une nouvelle famille de malwares Android baptisée Hirudo, qui vole des identifiants bancaires en désinstallant secrètement l'application bancaire réelle de la victime et en la remplaçant par une copie modifiée dont les vérifications de sécurité ont été désactivées. L'entreprise a identifié des clones malveillants d'au moins sept applications bancaires indonésiennes, ainsi que des applications modifiées liées à des institutions financières en Chine, en Inde, au Mexique, au Maroc et en Thaïlande.

Les chevaux de Troie bancaires qui superposent un faux écran de connexion à l'application réelle sont courants. Hirudo est plus agressif : au lieu de tromper la victime pour qu'elle saisisse ses identifiants sur un écran imité, il supprime entièrement l'application d'origine du téléphone et installe sa propre version modifiée à la place, de sorte que la victime interagit avec un logiciel contrôlé par le malware dès le premier contact.

Hirudo se propage via des applications sans rapport apparent, distribuées en dehors de Google Play, notamment une application de shopping nommée Shopora, une application de contenu pour adultes nommée 1V1 X, et les applications de drama courts ZoyaTV et KoiShort. Ces applications fonctionnent comme annoncé, puis affichent une fausse invite de « mise à jour » qui amène la victime à accorder les permissions Accessibility. Avec cet accès, Hirudo déclenche silencieusement la procédure de désinstallation de l'application réelle de la banque ciblée, télécharge une version modifiée depuis l'infrastructure de l'attaquant, et utilise ses propres privilèges Accessibility pour terminer l'installation sans invite supplémentaire.

Les applications bancaires modifiées utilisent un moteur de hooking basé sur les frameworks open source YAHFA et Dobby pour falsifier le certificat de signature d'origine lors de sa vérification par le système d'exploitation, masquer l'activation des services Accessibility, supprimer la protection contre les captures d'écran et modifier les données de key-attestation afin que les requêtes vers l'API Play Integrity de Google soient silencieusement relayées via un serveur contrôlé par l'opérateur plutôt que traitées honnêtement. Selon ThreatFabric, les opérateurs peuvent récupérer les mots de passe bancaires, les codes PIN de paiement, les codes de déverrouillage de l'appareil et les SMS, ainsi que diffuser l'écran du téléphone, accéder aux deux caméras et extraire captures d'écran et audio. De fausses pages de paiement intégrées à l'application capturent le code PIN avant d'afficher un faux message de « paiement réussi » pour ne pas éveiller les soupçons.

ThreatFabric a également découvert un panneau d'administration non sécurisé utilisé par les opérateurs de Hirudo, contenant des milliers d'identifiants volés ainsi que des données d'appareil, d'écran de verrouillage et de profil financier — bien que l'entreprise affirme que le nombre total de victimes reste inconnu. La campagne présente une faiblesse intrinsèque : le keybox d'attestation intégré au malware a fuité publiquement, et Google a déjà signalé deux des certificats utilisés comme compromis, ce qui permet à des vérifications d'intégrité côté serveur correctement configurées de détecter les attestations falsifiées.

ThreatFabric recommande aux banques de déplacer la validation de signature et d'intégrité côté serveur et de la lier à des sessions individuelles plutôt que de se fier uniquement aux vérifications sur l'appareil, et conseille aux utilisateurs Android d'éviter d'installer des APK en dehors des boutiques officielles et de garder le scan Play Protect activé. La recherche a été publiée par ThreatFabric et rapportée par Bill Toulas pour BleepingComputer.